遭遇勒索病毒后，别乱操作，按步骤来

lizongnan

　　先断网，别让病毒扩散

　　上周深圳一家小型外贸公司，员工点开伪装成“报关单”的钓鱼邮件附件，瞬间弹出THS Sorry勒索界面，所有文件后缀被改成.ths，还要求付0.5比特币赎金。当时IT主管第一时间拔掉所有办公电脑的网线，关掉服务器电源，这步太关键——要是没断网，病毒会同步加密共享盘里的客户数据，损失直接翻倍。记住，不管看到什么“解密倒计时”，先断网，别给病毒传更多数据的机会，哪怕弹窗说“断网就销毁密钥”，也别犹豫。sorry勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　别付赎金，这才是最优选择

　　很多人慌了就想付赎金，但去年国内网络安全机构统计，82%付了赎金的用户要么没拿到密钥，要么拿到的密钥只能恢复70%的文件。刚才那家外贸公司老板本来想转钱，后来查了安全资讯，发现THS Sorry的解密工具已经被安全团队破解，根本不用掏赎金。而且付赎金还会助长勒索团伙的气焰，更多中小微企业遭殃，所以先别冲动转钱，冷静找信息。

　　找专业机构，别自己瞎折腾

　　我见过一个开建材店的小老板，自己网上搜了个“免费解密工具”扫硬盘，结果误操作把剩下的未加密文件也损坏了，花了两万多才恢复部分数据。正确的做法是找有应急响应资质的安全公司，比如国内头部安全厂商的应急团队，他们有处理THS Sorry的现成经验，能先隔离病毒，再修复损坏的文件，比自己瞎试靠谱得多，别省那点咨询费。

　　优先用离线备份恢复

　　刚才的外贸公司刚好有每月做一次的本地硬盘备份，存在未联网的移动硬盘里。安全团队帮他们把备份文件导回新电脑，10小时就恢复了90%的业务数据，比用解密工具还快。要是你之前有离线备份，这一步是最快的，千万别用云盘备份，因为云盘服务器可能和办公网连通，早就被加密了。

　　事后加固，避免再次中招

　　这次病毒进来的根源，就是员工点了陌生钓鱼附件。事后外贸公司给所有电脑装了终端安全软件，每周更新一次系统补丁，还给员工做了30分钟的钓鱼培训，教他们识别伪装成报关单、发票的恶意附件。现在这家公司再也没出过类似问题，小老板说，花几百块做培训，比付赎金划算太多。